Peretas ke ceos otomatis: buat mobil yang aman!

Sekelompok peneliti keamanan bertekad untuk menjadikan dunia fisik tempat yang lebih aman menuntut produsen mobil untuk membuat mobil yang dirancang untuk tahan terhadap serangan dunia maya.

Kelompok itu, dengan moniker "Aku adalah Kavaleri, " merilis surat terbuka untuk "CEO Otomotif" melalui Reuters, memposting salinan di situs webnya, dan meluncurkan petisi change.org, untuk memanggil eksekutif industri mobil untuk mengimplementasikan Lima Program Keamanan Cyber ​​Otomotif Star. Pilar-pilar program mencakup keselamatan berdasarkan desain, kolaborasi pihak ketiga, penangkapan bukti, pembaruan keamanan, dan segmentasi serta isolasi.

"Dunia mobil dan cybersecurity yang dulu sangat berbeda bertabrakan, " baca surat itu. "Sekarang adalah waktu bagi industri otomotif dan komunitas keamanan untuk terhubung dan berkolaborasi."

Komputer mengelola mesin, rem, navigasi, pendingin udara, wiper kaca depan, sistem hiburan, dan komponen penting dan tidak penting lainnya dalam mobil modern. Tidak ada perselisihan yang harus dikunci untuk mencegah gangguan atau akses tidak sah. Siapa pun yang telah menonton video tahun lalu para peneliti Charlie Miller dan Chris Valasek tertawa terbahak-bahak di latar belakang sementara mereka mengambil alih mobil yang dikendarai oleh penulis Forbes Andy Greenberg akan setuju bahwa jika musuh cukup termotivasi, orang itu dapat menyebabkan serius, fisik, membahayakan pengemudi, dan berpotensi menjadi penumpang. Miller dan Valasek berada di Black Hat tahun ini, menunjukkan lebih banyak peretasan mobil, dan DEF CON tahun ini memiliki beberapa sesi peretasan elektronik konsumen, perangkat medis, sistem kontrol lalu lintas, dan Internet of Things.

Kendaraan adalah "komputer beroda, " Josh Corman, CTO Sonatype dan salah satu pendiri grup. Surat terbuka grup ini dirancang untuk membuat komputer ini lebih aman.

Program Lima Bintang

Keselamatan berdasarkan desain, berarti pembuat mobil harus merancang dan membangun fitur otomatisasi dengan mempertimbangkan keamanan. Pembuat mobil juga harus menerapkan program pengembangan perangkat lunak yang aman di dalam perusahaan mereka untuk mendorong praktik pengkodean dan desain yang lebih baik.

Kolaborasi pihak ketiga meminta pembuat mobil untuk membuat program pengungkapan kerentanan formal, untuk secara jelas menyatakan apa kebijakannya dan siapa yang harus dihubungi. Para pembuat mobil harus bersedia bekerja dengan para peneliti untuk mengidentifikasi kekurangan. Tidak mungkin para pembuat mobil dapat menemukan dan memperbaiki bug sendiri - inilah mengapa kolaborasi yang sehat dengan para peneliti sangat penting. Ada sedikit kemungkinan hal-hal yang terlewatkan.

"Tesla sudah mendapatkan bintang, " kata Corman, mencatat pembuat mobil elecotrnic baru-baru ini menetapkan kebijakan seperti itu.

Bukti menangkap ingin menambahkan "kotak hitam" ke mobil, seperti apa yang sudah ada di pesawat terbang. Ketika pesawat jatuh, penyelidik dapat menganalisis kotak hitam dan memahami apa yang terjadi di pesawat, termasuk percakapan, kecepatan pesawat, status berbagai sistem, dan segudang informasi teknis lainnya. Ketika ada yang tidak beres pada mobil, dalam banyak kasus, tidak ada informasi yang tersedia. Sulit untuk belajar dari kecelakaan dan bekerja untuk meningkatkan produk ketika tidak ada umpan balik, Corman mencatat.

Pembaruan keamanan berarti masalah yang ditemukan diperbaiki pada masing-masing mobil secara tepat waktu. Saya tidak ingin diberi tahu enam bulan setelah membeli mobil yang saya perlukan untuk membeli versi yang lebih baru untuk memanfaatkan perbaikan. Mekanisme pembaruan keamanan memastikan kerentanan diperbaiki secara efektif.

Segmentasi dan isolasi meminta para pembuat mobil untuk menjaga sistem penting - seperti rem dan kemudi - terpisah dari jaringan mobil yang lain, seperti sistem hiburan. "Dengan segmentasi dan isolasi, kami ingin memastikan Anda mengandung kegagalan, jadi peretasan ke sistem hiburan tidak pernah menonaktifkan rem, " kata Corman. Dia mencatat bahwa sudah ada perbedaan signifikan di antara produsen mobil yang berbeda. Beberapa lebih baik dalam segmentasi daripada yang lain, tetapi masih banyak yang harus dilakukan.

Kita Tidak Bisa Menunggu

Kelompok ini bertujuan untuk membawa peneliti keamanan bersama dengan perwakilan dari bidang non-keamanan, seperti otomatisasi rumah dan elektronik konsumen, peralatan medis, transportasi, dan infrastruktur penting, untuk meningkatkan keamanan. Tujuannya adalah mulai bekerja bersama untuk menerapkan perlindungan keamanan karena "kita tidak bisa menunggu hal-hal buruk terjadi, " kata Corman. Waktu untuk memulai adalah sekarang, sehingga dalam beberapa tahun, upaya ini benar-benar akan menunjukkan hasil, katanya. "Kami tahu ini akan memakan waktu, " katanya.

"Kami tidak melakukan ini untuk para peneliti keamanan, " kata Corman. "Kami melakukan ini untuk tetangga kita, untuk siapa saja yang mengendarai mobil."